Lien de désabonnement : dangereux ou pas? Quand cliquer

Oui, un lien de désabonnement peut être malveillant, et les liens risqués se trouvent dans les courriels d’expéditeurs que vous ne connaissez pas. Dans un courriel qui vient vraiment d’une infolettre ou d’une boutique à laquelle vous vous êtes inscrit, le lien de désabonnement est sûr et c’est le moyen le plus rapide d’arrêter les envois. Dans un pourriel ou un message que vous soupçonnez d’être une arnaque, n’y cliquez pas : il peut confirmer que votre adresse fonctionne ou ouvrir une fausse page de connexion, alors signalez plutôt le message.

Le bouton de désabonnement de votre app de courriel est habituellement la voie la plus sûre. Mais toute façon de vous désabonner indique à l’expéditeur que votre adresse est active. C’est sans conséquence avec une entreprise qui a déjà votre adresse, et c’est exactement ce que cherche un expéditeur de pourriels. Pour garder d’emblée les listes loin de votre adresse principale, CatchNone donne à chaque boutique et à chaque infolettre sa propre adresse et ouvre leurs courriels avec les images distantes bloquées, sur iPhone, iPad et Mac. Les menus et les règles ci-dessous ont été vérifiés dans la documentation de Google, d’Apple, de Microsoft et de Yahoo en septembre 2026.

Un lien de désabonnement est-il sûr? Tout dépend de l’expéditeur

Regardez la dernière colonne. Se désabonner, que ce soit par un lien, un bouton ou un courriel, c’est envoyer un message à l’expéditeur. Le RFC 8058, la norme derrière le désabonnement en un clic, précise qu’il donne « une forte indication à l’expéditeur que l’adresse à laquelle le message a été envoyé était valide ». Bloquer et supprimer restent de votre côté, et le signalement ne contacte pas directement l’expéditeur. Ouvrir un message et charger ses images a peut-être déjà renseigné l’expéditeur : c’est le principe du pixel espion dans un courriel.

Vous n’êtes pas certain que le courriel vient vraiment de l’entreprise? Laissez son lien de côté. Les conseils sur l’hameçonnage de la FTC américaine recommandent de « communiquer avec l’entreprise au moyen d’un numéro de téléphone ou d’un site Web que vous savez authentique, et non des coordonnées fournies dans le courriel ». Ouvrez l’app de l’entreprise ou tapez vous-même son adresse Web, connectez-vous et désactivez les courriels promotionnels dans les réglages de votre compte. Dans Outlook, un « ? » dans la photo de l’expéditeur signifie qu’Outlook n’a pas pu vérifier l’expéditeur.

Comment un lien de désabonnement peut être malveillant

Il confirme que votre adresse est active

Microsoft conseille de ne jamais répondre à un message, « pas même pour vous désabonner d’une liste de diffusion », à moins de connaître l’expéditeur et de lui faire confiance, parce que répondre à un pourriel confirme que votre adresse est active. L’ICO du Royaume-Uni affirme que répondre à un pourriel « montre que votre adresse courriel est active », et que cliquer sur les publicités qu’il contient signifie que « vous pourriez recevoir plus de courriels ». Apple souligne que les expéditeurs de pourriels se servent aussi du chargement des images pour vérifier si un compte est actif.

Une fausse page demande votre mot de passe

Certains liens « de désabonnement » mènent à une page qui vous demande de vous connecter pour gérer votre abonnement. Les conseils de Google sur l’hameçonnage sont directs : si un lien vous demande votre mot de passe, « ne saisissez pas vos informations, et accédez directement au site Web que vous voulez utiliser ». La CISA prévient que les faux sites « peuvent sembler identiques à un site légitime, mais l’URL peut comporter une variante d’orthographe ou un domaine différent ».

Il vous pousse à télécharger un fichier malveillant

La FTC indique que les fraudeurs envoient parfois des liens et des pièces jointes « qui, si on les ouvre ou qu’on clique dessus, installent des logiciels malveillants nuisibles sur l’appareil ». Si une page vous pousse vers un fichier, une app ou une « mise à jour de sécurité », c’est le moment de la fermer.

Comment distinguer une vraie page de désabonnement d’une fausse

Un vrai désabonnement n’exige jamais votre mot de passe, un paiement ou un téléchargement. Le guide de la FTC sur la loi CAN-SPAM précise que les expéditeurs américains ne peuvent pas exiger de frais pour vous retirer d’une liste, demander des renseignements personnels « au-delà d’une adresse courriel », ni exiger plus qu’un courriel de réponse ou la visite d’« une seule page d’un site Web ». Les conseils de Yahoo aux expéditeurs recommandent un processus de désabonnement qui « n’oblige pas les utilisateurs à se connecter ». Fermez la page si elle :

• vous demande de vous connecter avant de pouvoir vous désabonner;
• veut plus que votre adresse courriel, ou demande les renseignements de votre carte;
• propose un fichier à télécharger ou une app à installer.

Une page de confirmation avec un seul bouton de désabonnement est normale : Mailchimp y envoie les clics sur le lien au bas du message. Un lien sur un domaine différent de celui de la marque n’est pas non plus, à lui seul, un signal d’alarme, parce que des plateformes comme Mailchimp obligent les expéditeurs à utiliser « le lien de désabonnement que nous fournissons ». Le domaine compte dès qu’une page vous demande de vous connecter.

Les liens de désabonnement sont-ils souvent dangereux?

Personne ne publie de taux fiable. DNSFilter, une entreprise de sécurité DNS, a déclaré au Wall Street Journal en juin 2025 qu’environ 1 clic sur 644 sur des liens contenant « unsubscribe » dans l’adresse menait à des sites potentiellement malveillants. L’entreprise n’a pas publié sa méthode de mesure : voyez-y le signe que le risque est réel, pas vos chances d’être touché.

Le bouton de désabonnement de votre app de courriel est-il plus sûr que le lien?

Habituellement, oui. Les listes de diffusion peuvent ajouter un en-tête caché, List-Unsubscribe, qui indique à votre app de courriel comment vous retirer de la liste. Il remonte au RFC 2369, en 1998, et peut contenir une adresse Web, une adresse courriel, ou les deux. Quand votre app le trouve, elle peut afficher sa propre commande de désabonnement.

Ce bouton est plus sûr pour deux raisons :

• Gmail et Yahoo décident s’ils l’affichent. La FAQ de Gmail pour les expéditeurs indique que Gmail affiche son bouton « uniquement pour les messages qui réussissent les vérifications d’admissibilité automatisées de Google », qui tiennent compte de ses règles pour les expéditeurs et des signalements de pourriels des destinataires. Yahoo n’affiche son bouton bleu « Unsubscribe » (Se désabonner) à côté de l’adresse de l’expéditeur qu’avec un en-tête de désabonnement en un clic correct et « une réputation et un engagement suffisants » (FAQ de Yahoo pour les expéditeurs). Toutes les apps ne filtrent pas les expéditeurs ainsi : Apple ne documente aucune vérification de ce genre, et certaines apps affichent le bouton sur tout message qui porte l’en-tête, pourriels compris.
• Le désabonnement en un clic n’ouvre aucune page Web. Votre app envoie une seule requête en arrière-plan. Le RFC 8058 précise qu’elle « NE DOIT PAS inclure de témoins (cookies), d’autorisation HTTP ni aucune autre information de contexte », et l’expéditeur ne peut pas la rediriger. Il n’y a nulle part où se connecter et rien à télécharger.

Ce n’est pas une garantie :

• « Go to website » (Accéder au site Web). Gmail indique que certains expéditeurs vous obligent plutôt à visiter leur site : le même genre de page que le lien dans le courriel.
• Les désabonnements par courriel. Quand une app utilise l’adresse mailto: de l’en-tête, le résultat est un courriel envoyé de votre adresse à la liste, le genre de réponse contre lequel Microsoft met en garde.
• Il confirme quand même votre adresse. Le RFC 8058 précise que la requête doit contenir « assez d’information pour identifier le destinataire du courriel et la liste ».
• Il ne prouve pas que l’expéditeur est honnête. Le désabonnement en un clic exige une signature DKIM, qui montre quel domaine a signé le message, et non que ce domaine est digne de confiance. Un expéditeur de pourriels peut signer les courriels de son propre domaine.
• Il ne vaut que pour une liste. Gmail indique qu’il « pourrait ne vous désabonner que d’une seule liste de diffusion de l’expéditeur ».

Utilisez donc le bouton pour les expéditeurs que vous reconnaissez, et signalez les pourriels au lieu de vous en désabonner.

Qu’est-ce que le désabonnement en un clic?

Le désabonnement en un clic, défini en 2017 dans le RFC 8058, ajoute un deuxième en-tête, List-Unsubscribe-Post, pour que votre app de courriel puisse vous retirer d’une liste avec une seule requête HTTPS en arrière-plan : aucune page Web et aucun courriel. Sur les téléphones, on parle parfois de désabonnement en un toucher. Voici l’exemple du RFC. Pour voir les en-têtes d’un vrai message dans Gmail sur le Web, ouvrez-le, cliquez sur « More » (Plus) à côté de « Reply » (Répondre), puis sur « Show original » (Afficher l’original).

List-Unsubscribe:
    <mailto:listrequest@example.com?subject=unsubscribe>,
    <https://example.com/unsubscribe.html?opaque=123456789>
List-Unsubscribe-Post: List-Unsubscribe=One-Click

• List-Unsubscribe énumère les façons de sortir de la liste : une adresse courriel et une adresse Web.
• opaque=123456789 est la partie qui vous identifie, vous et la liste.
• List-Unsubscribe-Post en fait un désabonnement en un clic : votre app envoie POST /unsubscribe.html?opaque=123456789 avec le corps List-Unsubscribe=One-Click, et aucune page ne s’ouvre.

Le désabonnement en un clic existe parce que les logiciels antipourriel qui visitent automatiquement l’adresse de désabonnement indiquée dans les en-têtes désabonnaient des gens par accident; les expéditeurs ont donc ajouté des pages de confirmation. Une requête POST permet aux expéditeurs de distinguer votre demande de ces visites automatiques, si bien qu’aucune page de confirmation n’est nécessaire. Votre app ne doit pas l’envoyer « sans le consentement de l’utilisateur », et c’est pourquoi on vous demande de confirmer.

Où trouver le bouton de désabonnement intégré

Gmail

Sur le Web, Android, iPhone et iPad, le désabonnement en un clic de Gmail se trouve à côté du nom de l’expéditeur (étapes de Google) :

1. Ouvrez un courriel dont vous voulez vous désabonner.
2. À côté du nom de l’expéditeur, cliquez ou appuyez sur « Unsubscribe » (Se désabonner).
3. Dans la fenêtre contextuelle, choisissez « Unsubscribe » (Se désabonner) ou « Go to website » (Accéder au site Web).

Il peut s’écouler quelques jours avant que les courriels cessent. La vue « Gérer les abonnements » de Gmail, lancée en juillet 2025 et toujours « en cours de déploiement progressif », vous retire d’un coup de toutes les listes actives d’un expéditeur et envoie ses nouveaux courriels dans le dossier Spam. Pour l’ouvrir, cliquez sur « More » (Plus) > « Gérer les abonnements » sur le Web, ou touchez « Menu » > « Gérer les abonnements » dans les apps.

Mail d’Apple sur Mac

Dans macOS 26 et macOS 27, une bannière sous l’en-tête signale les messages qui proviennent d’une liste de diffusion. Cliquez sur « Unsubscribe » (Se désabonner) dans la bannière, puis sur « OK » dans l’alerte (étapes d’Apple). Apple ne précise pas si Mail envoie une requête en un clic ou un courriel depuis votre compte : ne l’utilisez donc que pour des expéditeurs que vous connaissez.

iPhone et iPad

Les guides d’Apple pour l’iPhone et l’iPad ne documentent aucune commande de désabonnement à l’intérieur des messages. Ils documentent plutôt iCloud Mail Cleanup (nettoyage de Mail iCloud), qui ne fonctionne qu’avec Mail iCloud et n’est pas offert dans toutes les langues. La fonction suggère des expéditeurs des catégories « Updates » (Mises à jour) et « Promotions », puis déplace leurs prochains courriels dans la corbeille. Dans iOS 26 et 27, elle se trouve dans Réglages > [votre nom] > iCloud > Mail > « iCloud Mail Cleanup »; les étapes complètes sont dans comment trouver les listes de diffusion auxquelles vous êtes inscrit.

Si Mail affiche son propre bouton « Unsubscribe » (Se désabonner) en haut d’un message, Apple n’explique pas non plus comment celui-ci fonctionne : ne l’utilisez donc que pour des expéditeurs que vous connaissez.

Outlook.com

Microsoft ne documente aucun bouton de désabonnement par message pour Outlook.com, le nouvel Outlook ou les apps Outlook. Outlook.com énumère plutôt les expéditeurs qu’il reconnaît sous « Settings » > « Mail » > « Subscriptions » (Paramètres > Courrier > Abonnements), avec une option « Unsubscribe » (Se désabonner) pour chacun. Dans certaines apps, la fenêtre de signalement propose aussi de vous désabonner; pour les courriels auxquels vous ne faites pas confiance, choisissez la simple option de signalement ou de blocage.

Pourquoi certains courriels n’ont-ils pas de bouton de désabonnement?

Habituellement parce que le message n’a pas réussi les vérifications de votre fournisseur, ou parce qu’il ne porte pas d’en-tête utilisable :

• Les vérifications de Gmail et de Yahoo. Comme on l’a vu plus haut, un en-tête correct ne suffit pas si le message ne les réussit pas. Google précise que c’est le cas « même lorsque les expéditeurs ajoutent leur propre lien de désabonnement dans le corps du message ».
• Les exceptions d’Outlook.com. Il se peut que l’option ne vous soit pas proposée pour les courriels filtrés dans le courrier indésirable ni pour les expéditeurs de votre liste d’expéditeurs bloqués.
• Aucune signature DKIM. Le RFC 8058 indique qu’une app « NE DEVRAIT PAS proposer de désabonnement en un clic » sans signature.
• Les courriels transactionnels. Les reçus, les réinitialisations de mot de passe et les codes à usage unique ne sont pas des abonnements, et Gmail et Yahoo n’y exigent pas le désabonnement en un clic.
• Les expéditeurs qui ne l’ont jamais configuré. Sans en-tête List-Unsubscribe, votre app n’a rien à afficher.

L’absence de bouton ne veut pas dire que le message est une arnaque, et la présence d’un bouton ne prouve pas l’honnêteté de l’expéditeur.

Pourquoi le désabonnement en un clic s’est répandu en 2024

Google a annoncé des règles pour les expéditeurs de courriels en masse le 3 octobre 2023, et Yahoo a appuyé les mêmes changements. Leurs règles en date de septembre 2026 :

Les autres en demandent moins. Les règles de Microsoft pour Outlook.com, en vigueur depuis le 5 mai 2025, exigent SPF, DKIM et DMARC des domaines qui envoient plus de 5 000 courriels par jour, mais ne font que recommander un lien de désabonnement fonctionnel. La page d’Apple destinée aux expéditeurs vers Mail iCloud demande aux expéditeurs en masse « un lien de désabonnement ».

Pour Gmail, seul l’en-tête compte : la FAQ de Google indique que les liens de désabonnement mailto: et par URL « ne satisfont pas à notre exigence de désabonnement en un clic », et à partir de novembre 2025, Gmail a commencé à « intensifier l’application » de ses règles, rejets compris. Ce sont les règles des fournisseurs, pas des lois; le minimum légal se trouve dans la FAQ ci-dessous.

Se désabonner, signaler un pourriel, bloquer ou signaler l’hameçonnage?

Deux détails prêtent à confusion. Dans Gmail, bloquer un expéditeur « ne vous désabonne pas automatiquement de sa liste de diffusion », comme le précise l’aide de Google sur les abonnements. Dans Outlook, quand vous signalez un hameçonnage, l’expéditeur est signalé mais pas bloqué : bloquez-le aussi s’il continue d’écrire.

Les façons de signaler et de bloquer dans Gmail, Outlook et Mail d’Apple, et que faire contre les pourriels qui continuent d’arriver malgré tout, sont dans ce qui réduit vraiment les pourriels. Une option facile à manquer : dans Gmail sur ordinateur, « Report phishing » (Signaler l’hameçonnage) se trouve sous « More » (Plus), à côté de « Reply » (Répondre). Si une vraie entreprise continue de vous écrire après votre désabonnement, consultez pourquoi le désabonnement ne fonctionne pas pour les causes habituelles.

Que faire si vous avez déjà cliqué sur un lien de désabonnement suspect

Vous avez cliqué ou appuyé par accident sur le lien de désabonnement d’un pourriel? La marche à suivre dépend de ce qui s’est passé ensuite :

• Vous avez seulement cliqué ou touché. Fermez la page, signalez le courriel comme pourriel ou hameçonnage, et supprimez-le. Le clic a peut-être confirmé votre adresse, donc d’autres pourriels pourraient suivre.
• Un fichier s’est téléchargé. Ne l’ouvrez pas; supprimez-le. La FTC recommande de « mettre à jour le logiciel de sécurité de votre ordinateur, puis de lancer une analyse et de supprimer tout ce qu’il détecte comme problème ».
• Vous avez saisi un mot de passe. Allez vous-même sur le vrai site, sans passer par le courriel, et changez le mot de passe tout de suite. Changez-le ensuite partout où vous l’avez utilisé. Activez la vérification en deux étapes et cherchez les connexions que vous ne reconnaissez pas; notre guide pour vérifier si votre compte de courriel a été piraté couvre Google, Microsoft et Apple.
• Vous avez donné les renseignements de votre carte ou de votre compte bancaire. Communiquez dès maintenant avec votre banque ou l’émetteur de votre carte. Aux États-Unis, allez aussi sur IdentityTheft.gov. Au Royaume-Uni, faites un signalement sur reportfraud.police.uk ou appelez le 0300 123 2040 (Angleterre, pays de Galles et Irlande du Nord), ou appelez Police Scotland au 101.

Pour signaler le courriel ailleurs qu’à votre fournisseur de messagerie, soit à l’APWG et à la FTC aux États-Unis ou au NCSC au Royaume-Uni, consultez où signaler les pourriels et l’hameçonnage.

N’ayez plus besoin de vous désabonner : une adresse par liste

La solution la plus propre se trouve en amont : donnez à chaque boutique et à chaque infolettre sa propre adresse. Quand une liste vous ignore, vend votre adresse ou subit une fuite de données, seule cette adresse est touchée, et vous pouvez la filtrer ou la désactiver sans toucher aux autres. Les conseils d’Apple sur les pourriels se terminent par « utilisez un alias de courriel ».

La version la plus simple est l’adresse avec un « + » (plus addressing) : chez les fournisseurs qui la prennent en charge, dont Gmail, le courrier envoyé à you+shop@example.com arrive à you@example.com. N’importe qui peut toutefois retirer l’étiquette, donc l’expéditeur peut quand même deviner votre adresse principale. Les alias distincts ne la révèlent pas, et CatchNone, présentée plus bas, vous en donne un pour chaque liste et affiche leur courrier dans sa propre app. Notre guide sur l’adresse à utiliser pour vos inscriptions compare les options.

Une adresse par liste, avec CatchNone

CatchNone donne à chaque boutique, infolettre ou compte sa propre adresse : une adresse @catchnone.com aléatoire avec Premium, sans domaine ni boîte courriel à configurer, ou une adresse sur un domaine qui vous appartient, jusqu’à 10 avec le forfait Gratuit et un nombre illimité avec Lite et Premium. Chaque message porte une pastille indiquant l’alias qu’il a atteint : une liste qui vend votre adresse ou la laisse fuiter se repère donc. L’app est conçue pour la réception seule : le courrier des inscriptions reste dans sa propre app. Les messages s’ouvrent avec leur JavaScript désactivé, et les images distantes, dont la plupart des pixels espions, restent bloquées jusqu’à ce que vous les chargiez. Si une liste vous ignore ou qu’un alias attire des pourriels, désactivez son alias @catchnone.com : les messages sont retournés à l’expéditeur, et vos autres alias continuent de fonctionner; sur votre propre domaine, bloquez l’adresse chez votre fournisseur.

Son bouton « Se désabonner » vous demande d’abord de confirmer. Pour les listes en un clic, il envoie ensuite la requête depuis votre appareil, sans témoins et sans page Web, mais la liste voit quand même l’adresse IP de votre appareil et apprend que l’alias est actif. Sinon, si la liste fournit une adresse courriel, il ouvre un courriel préadressé dans votre app de courriel habituelle, envoyé depuis votre vraie adresse. Si ce n’est pas le cas, il ouvre la page de l’expéditeur. Les liens s’ouvrent dans votre navigateur sans modification, et le bouton s’affiche pour tout message qui porte un en-tête List-Unsubscribe, puisque CatchNone ne vérifie ni DKIM ni la réputation de l’expéditeur : utilisez-le donc pour des listes que vous reconnaissez. Téléchargez CatchNone pour iPhone, iPad et Mac.

FAQ

Est-ce sûr de se désabonner de courriels sur iPhone?

Pour des expéditeurs que vous connaissez, oui : touchez « Unsubscribe » (Se désabonner) à côté du nom de l’expéditeur dans l’app Gmail, utilisez iCloud Mail Cleanup (nettoyage de Mail iCloud) pour Mail iCloud, ou sinon, utilisez le lien dans le courriel. Pour un pourriel, balayez vers la gauche, touchez « More » (Plus), puis « Move to Junk » (Déplacer vers Courrier indésirable). Apple suggère aussi d’activer « Protéger votre activité dans Mail » (Réglages > Apps > Mail > « Protection de la confidentialité »), et notre guide sur le fonctionnement de la Protection de la confidentialité dans Mail explique ce qu’elle change.

Faut-il se désabonner des pourriels?

Non. Un pourriel ne vient pas d’une liste à laquelle vous vous êtes inscrit, donc il n’y a rien à quitter, et cliquer, toucher ou répondre peut confirmer que votre adresse est active. Marquez-le comme pourriel ou courrier indésirable, ce qui entraîne votre filtre sans contacter directement l’expéditeur, puis supprimez-le; si le même expéditeur continue d’écrire, bloquez l’adresse. Ne vous désabonnez que des listes auxquelles vous vous êtes inscrit, et marquez comme pourriel toute liste qui ignore votre désabonnement.

Que se passe-t-il quand je me désabonne dans Gmail?

Une fenêtre contextuelle vous demande de confirmer avec « Unsubscribe » (Se désabonner), ou propose « Go to website » (Accéder au site Web) pour les expéditeurs qui exigent leur propre page. Il peut s’écouler quelques jours avant que les courriels cessent. Si l’expéditeur vous écrit de nouveau après votre désabonnement, Gmail place ses nouveaux courriels dans le dossier Spam.

Signaler un pourriel prévient-il l’expéditeur?

Pas nommément dans Gmail : le signalement déplace le message dans Spam et entraîne le filtre, et les commentaires de Gmail aux expéditeurs en masse sont des données de plaintes globales par campagne. Yahoo fait autrement : sa Complaint Feedback Loop (boucle de rétroaction sur les plaintes) envoie aux expéditeurs inscrits un rapport, avec les en-têtes du message, quand vous marquez leurs courriels comme pourriels. Pour une liste à laquelle vous vous êtes vraiment inscrit, Google conseille plutôt de vous désabonner.

Le lien de désabonnement est-il obligatoire selon la loi?

Aux États-Unis, la loi CAN-SPAM exige que les courriels commerciaux comprennent un moyen fonctionnel de refuser les envois, respecté dans un délai de 10 jours ouvrables; le bouton de désabonnement en un clic vient des règles de Gmail et de Yahoo pour les expéditeurs, pas de la loi. Les délais selon le pays se trouvent dans pourquoi le désabonnement ne fonctionne pas.